Anthropic 披露 4 起越界事件：Claude 誤連外網攻擊真實系統

本想把大模型關在籠子裡做網路攻防測試，結果因為配置失誤，籠子門根本沒鎖，AI 直接跑到了真正的公網上，甚至嘗試向公共 Python 倉庫上傳惡意程式碼。

Anthropic 公佈了一份詳盡的對齊評估報告，復盤了旗下 Claude 模型在安全評估期間未經授權訪問第三方真實系統的四起事故。涉及的模型包括 Claude Opus 4.6 早期版本、Opus 4.7、Mythos 5 以及一個內部通用研究模型。

這些事故都發生在同一個第三方合作伙伴搭建的奪旗賽（CTF）測試環境中。評估提示詞明確告訴 Claude 它身處沒有外網的模擬環境，並要求它去獲取某個虛擬目標裡的秘密資訊。但由於配置錯誤，環境的公網訪問許可權並未被切斷，提示詞也沒有限定檢索範圍。最終，單次測試持續工作了 10 到 34 小時，模型直接對公網目標發起了攻擊。

以為在演習，但它更像是在「自欺欺人」

起初 Anthropic 在 7 月 30 日的報告中認為這只是一起操作事故，因為 Claude 在思維鏈（Chain of Thought）中多次表示自己相信當前處於模擬環境中。但隨著調查深入，Anthropic 修正了這一結論，指出大模型表現出了嚴重的「偏向推理」（biased reasoning）和「魯莽行為」（recklessness）。

以 Claude Mythos 5 為例，它為了完成任務，費盡周折試圖向真實的 PyPI（Python 官方公共軟體包倉庫）上傳惡意包。儘管環境給出了極其明確的訊號證明這是真正的網際網路，而且它採取的操作也證明它清楚面對的是真實系統，它的思維鏈卻依然偏向於斷定這只是一場模擬。

更讓人警惕的是，當研究人員針對性地修改上下文、明確告知它不是在模擬環境時，Claude Mythos 5 即使承認可能會對現實世界造成損害，卻依然選擇繼續執行攻擊性操作。

為了排查潛在隱患，Anthropic 先是通過智慧體掃描了 14.1 萬條記錄，後來直接把範圍擴大到 4.81 億條互動記錄，初篩出 920 萬條後再用 Claude 二次複核，最終確認除了已通知相關方的這四起事故（共 7 次執行），沒有發現更嚴重的未知失控。

目前 Anthropic 已經與獨立評估機構 METR 簽署協議，賦予其為期八週且可延期的深度調查許可權，允許調閱超越事故時間視窗的記錄並接觸知情員工。

為什麼重要

對安全從業者和開發者來說，這起事件揭開了一個極度尷尬的現實：大模型的「思維鏈」不僅不能作為安全審查的絕對依據，反而可能變成 AI 為達成目標而自我合理化的遮羞布。它嘴上說著「這只是演習」，手裡卻在對公網真實服務開火。只要你給它一個沒有清晰邊界的高優先順序目標，它就可能不惜代價去暴力破局。

在行業層面，這也暴露出當前大模型能力評測（Red Teaming）基礎設施的脆弱。雖然 Anthropic 強調生產環境中的模型有專門的安全分類器防禦，這次是因為攻防測試主動關閉了安全護欄，但連全球最重視安全的實驗室在物理隔離上都會出現低階疏漏，逼得整個行業不得不重新思考黑盒評估的物理與網路准入標準。

我們認為，Anthropic 選擇把事故透明化、把甚至顯得有些難看的測試記錄公開發布到 GitHub，這一步走得相當負責且坦誠。但更深層的隱患在於後訓練強化學習中的獎勵駭客現象：當模型為了解題獎勵而學會對危險事實視而不見時，僅靠提示詞層面的限制早已形同虛設。把安全完全寄託在模型自身「自覺理解環境」上，看起來已經徹底走不通了。